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Abstract of DE1 98501 33 

System for the new programming of a control memory, in order to write 
data again in a control memory of a control unit, as for instance a 
vehicle tax unit, with an external mechanism, whereby an 
identification code in the control unit is stored and whereby a 
pre-determined compatibility information record on a recording medium 
is noted, on which the new data for the reprogramming it is stored. 

After the connection of the control unit with the external mechanism, 
into which the recording medium is loaded, the reprogramming system 
compares the identification code of the control unit with the 
compatibility information record on the recording medium, over the 
compatibility between the data in the control memory and the data on 
the recording medium to examine and prevents the reprogramming with 
the recording medium, if the compatibility is not confirmed. 
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Die folgenden Angaben sind den vom Anmeider eingereichten Unterlagen entnommen 

Prufungsantrag gern. § 44 PatG ist gesteilt 

(fi) System zum Neuprogrammieren eines Steuerspeichers 

(5?) System zum Neuprogrammieren eines Steuerspei- 
chers, um Daten in einem Steuerspeicher einer Steuerein- 
heit, wie etwa einer Fahrzeug-Steuereinheit, mit einer ex- 
ternen Einrichtung neu zu schreiben, wobei ein Identifika- 
tionscode in der Steuereinheit gespeichert ist und wobei 
ein vorbestimmter Kompatibilitatsinformationssatz auf 
einem Aufzeichnungsmedium aufgezeichnet ist, auf dem 
die neuen Daten fur die Neuprogrammierung gespeichert 
sind. Nach der Verbindung der Steuereinheit mit der ex- 
ternen Einrichtung, in die das Aufzeichnungsmedium ge- 
laden ist, vergleicht das Neuprogrammierungssystem 
den Identifikationscode der Steuereinheit mit dem Kom- 
patibilitatsinformationssatz auf dem Aufzeichnungsmedi- 
um, um die Kompatibilitat zwischen den Daten im Steuer- 
speicher und den Daten auf dem Aufzeichnungsmedium 

■ zu prufen und verhindert die Neuprogrammierung mit 

t dem Aufzeichnungsmedium, wenn die Kompatibilitat 

i nicht bestatigt wird. 
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Bcschrcibung 

Die vorliegcndc Erfindung bciriffi cin System odcr Ver- 
fahrcn zum Neuprogrammieren odcr Neuschreihen, urn den 
Tnhait cincs Steuerspeichers vvic ciwa eines Spcichcrs in ei- 
ner Sieucreinheil zu vcrandern. die in cincm Fahrzeug vor- 
geschen is!. 

Bci cincr Fahrzcug-Stcucrcinheii mil cincr CPU. cincm 
Spcicher und Eingahc-Musgabcgcraicn bcsielu cine hcr- 
kommtichc Moglichkeii zum Andern des Inhalis cines Sicu- 
crspcichcrs darin. den Spcicher durch cincn neucn zu crsel- 
zen. Ein jungcrcs System vcrwenriei cine cxterne Einrich- 
lung und bcscitigi dadurch das crforderliche Ersetzen des 
Sicucrspcichcrs. was koslengiinsiiger is! (wic in dcr japani- 
schen Patent vcroflcntlichung 7( 1995)- 287605 angegeben). 

Es isl eine Aufgabe der vorlicgcnden Erfindung. cin Sy- 
sicni und ein Vertahrcn zum Neuprocraiuniicren oder Neu- 
schreihen anzugeben, das Fchlcr bciiu Neuprogrammieren 
venue iden kann. 

In Ubereinstimmung mil dcr vorlicgcnden Erfindung uni- 
fafii cin Steuerspcidier-Ncuprogrammicrungssysteni cincn 
Slcucrbercich zum Neuschreihen von Sicuerinformation 
wic ctwa eineni Fahrzeugslcucrprogramm, das in einem 
SLcuerspeichcr wie cincn i Flash- ROM gespcichert ist, in 
Ubereinslimniung mil ncucr Infonnaiion von cincm Auf- 25 
zcichnungsmedium wic cincr Datcnkarlc. zuni Vcrgleichen 
cines Einheilen-Idcntifikalionscodcs mil Koinpaiibitit.at.sin- 
fomiaiion. die auf dem Aufzeichnungsrnedium gespcichcrl 
isi. utn die Kompatibilital zwischen dcr Sicuerinformation 
und dcr neucn Information zu prufen. zum Erzeugen eincr :« 
Erlaubnissignals, urn eine Ncuschreibopcration der Sleuer- 
infomialion mil dcr neucn Information zu erlauben, wenn 
die Kompatibilital beslaUgl wird, uud zum Erzeugen cines 
Vcrhinderungssignals, urn die Ncuschreibopcration dcr 
Slcucrin formation mil dcr neucn Information zu verhindern. :*5 
wenn die Kompalibiiitat vcrneinl wird. 

Das System zum Neuprogratrtmicren kann wenigsicns 
cine Sieucreinheil und eine ex (erne Hinrichtung umfasscn. 

Ein Vcrfahren zum Neuprogrammieren des Steucrspci- 
chcrs in Ubereinstimmung mil der vorlicgcnden Erfindung 40 
umfaRt: 

einen Vcrglcichsschrill zum Vcrgleichen eines in eineni 
Stcuerspeicher gespcicherten Einheiien-Identifikalionsco- 
des mil cincr auf cincm Aufzeichnungsmediuin gespeicher- 
ten Kompatibiiiiaisinfonnaiion, urn die Kompalibiiitat zwi- 45 
schen der ini Stcuerspeicher gespeichcrlen Steuerinforma- 
lion und der auf dein Aufzcichnungsmedium gespeichcrlen 
neuen Infonnaiion zu prufen, und zum Erzeugen eines Er- 
laubnissignals, uni eine Neuschrciboperation der Steuerin- 
formation init neuer Infonnaiion zu erlauben. wenn die 
Kompalibiiitat hesiatigt wird. sowic zum Erzeugen eines 
Verhinderungssignais, um die Neuschreiboperation der 
Slcuerinfcnnation mil der neuen Information zu verhindern. 
wenn die Kompatibiliiat verneint wird, und 
einen Aniwortschrill zum Neuschreihen der Sleucrinforma- 55 
lion durch das Andern des Inhaiis des Steuerspeichers in 
Ubereinstimmung mil der neucn Infonnaiion. wenn das Er- 
iaubnissignal vorliegi, sowie zum Verhindern der Ncu- 
schreibopcration. wenn das Verhindcrungssignai vorliegt. 

Das Neuprogrammieren des Steuerspeichers wird durch- 60 
gefuhrt, indem die extemc Ncuprograinmierungseinrich- 
tung verwendei wird. in die eine Speichcrkaric oder cin an- 
deres Aufzeichnungsmedium gcladcn ist. aufdeni neue In- 
fonnaiion wie ein korrigienes oder aktualisiertes Steuerpro- 
gramm gcspcichcn isl. Wenn die Neuprogrammierung mil 65 
einer falschen Speicherkaric durchgefuhn wird, dann kann 
das Sieuerprogramm nichl mehr in der rage sein. seine 
Funktion richtig durchzufiihrcn. Diese Moglichkeii einer 
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falschen Neuprogrammierung ninunl mil der steigenden 
Anzahl von Spcichcrkarten mil untcrschiedlichcn Inhatt.cn 
zu, die von den Fahrzcug mode tlen, Motoren- und Getriebc- 
IV pen sowic von der Resiimmung der Produkte ahhiingig 
5 sind. Das System odcr Verfahrcn zum Neuprogrammieren in 
Ubereinstimmung mil dcr vorlicgcnden Firfindung kann 
diese Moglichkeii durch die Kompalibilitalsprufung mini- 
miercn. 

Das System zum Neuprogrammieren kann umfasscn: eine 
10 crsic Einrichtung zum Erlauben odcr Verhindern dcr Ncu- 
programmicrungsoperalion des Steuerspeichers durcli die 
cxterne Einrichtung, vvobei die Neuprogrammierungsopcra- 
lion nur im Fall der Erlaubnis erlaubt wird, eine zweile Ein- 
richlung zum Spcichcrn eines Einhcilen-Identifikationsco- 
15 des in der oder jeder Sieucreinheil. eine drillc Einrichlung 
zuni Speichern von Kompalibiiitat si nfonnat ion auf dem 
oder jedeni Aufzcichnungsmedium, cine viertc Einrichtung 
zuni Vcrgleichen des Idcntifikationscodcs mil dcr Kompati- 
bilitalsinfonnaiion, sowie eine fiinftc Einrichtung zum Ver- 
20 hindern der Ncuprogrammicrungsoperation. wenn die Kom- 
palibiiitat nicht bcstatigl wird. 

Im folgenden werden Ausfuhrungsbeispielc der vorlic- 
gcnden Erfindung mil Bezug auf die beigefugten Zeichnun- 
gen beschrieben. Es zeigen: 

Fig. 1 eine schemalisehe Ansicht, die cine Kombination 
cincr Sieucreinheil (1) und einer extemen Einrichtung (2) in 
Uhercinstimniung mil einer crslen Ausfuhrungseinrichtung 
der vorlicgcnden Erfindung zeigl. 

Fig. 2 eine schema! ischc Ansicht, die ein in die exleme 
Einrichtung von Fig. I zu iadendes Aufzeichnungsmedium 
(3) sowie cincn Stcuerspeicher (10 in der Steucreinheit von 
Fig. 1 zeigl. 

Fig. 3 eine Ansicht. die die Kommunikalioussequeuz 
zwischen der Sieucreinheil und der Einrichtung von Fig. 1 

zcigt. 

Fig. 4 ein FluBdiagramm. das eine Routine zeigl, die von 
der Steucreinheit von Fig. 1 in Ant won auf cin Anfordc- 
rungssignal fur eine Neuprogrammierung des Steuerspei- 
chers von der extcrnen Einrichlung durchgefiihrt wird. 

Fig. 5 ein FiuSdiagramm, das eine Routine zeigl, die 
durch die extcrnc Einrichtung von Fig. 1 in Antwort auf cin 
Neuprogrammierungs-ErlaubnissignaJ von der Steuercin- 
hcii durchgefiihrt wird. 

Fig. 6 ein FluBdiagramm, das ein Verfahren zum Neupro- 
grammieren des Steuerspeichers in Ubereinstimmung mil 
der vorliegenden Erfindung zcigt. 

Fig. 7 cin Blockdiagramm. das die interne Struktur dcr 
Steucreinheit und der Einrichtung von Fig. 1 schcmaiisch 
darstcllt. 

50 Fig. 1 zcigt ein System zum Neuprogrammieren eines 
Steuerspeichers in Ubereinstimmung mil einer Ausfuh- 
rungsfonn der vorliegenden Erfindung. Das in Fig. 1 ge- 
zeigte System umfaBt eine Sieuereinheii 1 und eine ex I erne 
Einrichtung 2 zum Neuprogrammieren. In diese m Beispiel 
ist die Steucreinheit 1 eine in eineni motorisierten Fahrzeug 
installicrte Motorsteuereinheii (ECM). 

Die Stcuereinhcit 1 dieses Beispicls umfaSt wenigsrens 
cine CPU, einen Speicherbcreich sowie Eingabe/Ausgabe- 
Bereiche. Die CPU luhn verse hiedene Sieuerope ration en in 
Ubereinstimmung mil einem oder mehreren Slcuerprogram- 
nien durch. Zum Beispiel dient die Motorsteuereinheii 1 als 
cine Sicuereinrichtung zum Steuern der Leerlaufdrehzahl ci- 
nes Motors in Ubereinstimmung mi! eincr gewiinschten Ge- 
schwindigkeii und mil einem oder mehreren Moiorhetriebs- 
zustanden. In einem Beispiel umfaBt das System zum Steu- 
ern der Leerlaufdrehzahl einen Sensorbereich init einem 
oder mehreren Sensoren zuni Festsiellcn von einem oder 
mehreren Motorbctriebszusianden, einen Sicllgliedbereieh 
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mil einein zusaizlichcn Luftvcntil. das in einem zusaizlichcn 
Luftdurchgang. der ein Drosselvem.il umgcht, angcordnct 
isi. sowie cinen Schrittmotor zum Variiercn des Offnungs- 
gradcs des y.usai /.lichen Luftventils. Die Motors! eucneinheii 
1 erzeugi cin Steucrsignal aus der Eingabein formation, die 
durch den Scnsorbercich in Ubcreinsiimmung mil einem 
vorbcstimmien Programm zum Stcucrn der Leerlaufdrch- 
7.ahl crl'alit wird. und sendet das Steucrsignal zu dem Schrill- 
moior des zusaizlichcn Luftvcniils. um die Lecrlautgc- 
schwindigkeit des Motors zu slcucrn. Die Motor-Slcucrcin- 
heil 1 isi mil dem Scnsorbercich verbunden, um die Einga- 
bc in for ma! ion zu empfangen. und is! wcitertiin mil dem 
SleLlgliedbereicli verbunden, um das Steucrsignal dem 
Slcllgliedbcreich zu senden. 

Die Steuercinheil 1 umfaBt cinen Sleuerspeicher If zum 
Spcichcrn eines Sieuerprogramms. Der Sleuerspeicher 1 1" isr 
ein clekt risen loschbarer und neu programm icr barer Spei- 
chcr. [n dem vorlicgcndcn Beispiel isi der Sleuerspeicher If 
ein Flash- Spcicher. Wenn nach dem Schreiben des Sieuer- 
programms in den Sleuerspeicher If ein Pehler im Fahr- 
zeugsteuerprogranim gefunden wird (etwa in dem Pro- 
gramm zum Stcuern der Lecrlaufdrehzahl). ennoglichl es 
das vor liege nde System, das Sieuerprogramrn im Sleuer- 
speicher If zu korrigieren, indent die externc Einrichtung 2 
wie in Fig. 1 untl 2 gezeigl mil der Sieuereinheit 1 verbun- 
den wird und indent korrigierie Daten fur das Steuerpro- 
gramm (ein korrigiertes Sieuerprogramrn) aus der externen 
Einrichtung 2 in die Molorstcuereinheit. 1 gegeben werden. 

Die externc Einrichtung 2 umfaBt ebenso wie die Motor- 
steuerein licit 1 wenigslens eine CPU. einen Speicherbereich 
sowie Eingabe-/Ausgabe-Bereiche. Um das Steuerpro- 
gramm neu zu schreiben. werden neuc Daien (ein korrigier- 
tes Steuerprogramm) auf einem Aufzeiclinungsmedium 3 
gcspcichcrt. Das auf diese Weise vorbereiiele Aufzeich- 
nungs medium 3 wird wie in Fig. 2 gczeigt in die externc 
Einrichtung 2 geladcn. und die externc Einrichtung 2 wird 
uber cine Kommunikationslcilung mit der Motorsleuerein- 
heit 1 verbunden. In diese m praktischen Beispiel isi das 
Aufzeiclinungsmedium 3 eine Dalenkarte. Die Molorstcuer- 
einheit 1 und die exierne Einrichtung 2 umfassen emspre- 
chendc Konmiunikalionscinrichtungen, um den Austausch 
von Information durch eine sericllc Kommunikalion zwi- 
schen der Steuercinheil 1 und der externen Einrichtung 2 zu 
ermog lichen. 

Das System zum Neuprogrammiercn kann die Neupro- 
grantmierungsoperation des Steuerprogramms wie in Fig. 3 
gezeigt durchfiihrcn. ohne die Molorstcuereinheit 1 aus dem 
Fahrzeug zu enifernen. Die Neuschrei hope ration wird im 
Ruhczustand des Motors vorgcnomnien, wobei ein Motor- 
schalter in der AN-Position ist. 

Wenn die Neuprogrammierungsoperalion mit der exter- 
nen Einrichtung 2 ausgefuhrt wird, in die vcrschcntlich cine 
false he Dalenkarte mil Daten ge laden wurde. die mil dem 
Sieuerprogramrn in der Molorstcuereinheit 1 nicht kompati- 
bei sind, dann kann das Steuersystem nicht mehr in der rage 
sein. optimale Fahigkeiien fur den Moior vorzusehen oder 
kann sogardie Fahrtiichtigkcil becintrachtigen. Diese Mbg- 
lichkeit kann durch eine vorsichiige Verwaiiung und Aus- 
wahl der Datenkarten reduziert werden. Die Moglichkeii ei- 
ner falschen Auswahl nimnii jedoch mit der sleigcndcn An- 
zahl von Datenkarten nut vcrschiedencn Inhalten zu. die je 
nach den Fahrzeugen, Motoren- oder Getriebelypen sowie 
nach der Besiiminung variiercn. 

In Ubcreinstimniung mil ciner Ausfuhrungsfonn der vor- 
licgcndcn Erlindung ist cin ECM-Idcntiflkationscodc H in 65 
der Stcuereinhcit 1 gespeichen und ist ein Kompatibilitats- 
informationssatz im Aufzeichnungsmcdium 3 gespeichen. 
Der ECM-Identifikationscode ist cine Zahl, ein Svrubol. ein 
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Etikcii, eine Kotnbinaiion aus Buchstahen und Zahlen oder 
ein andcres Daicnclemcnl, durch das die Steuercinheil 
(ECM) 1 von anderen Sleucreinheitcn (ECMs) unterschic- 
den werden kann. Der Kompaiibililaisinfomialionssatz ist 
cin Informal ionssa tz zu der Kompatibiliiai zwischen der in 
der Sieuereinheit gespeicherten Steuerinformation bzw. dem 
Sieuerprogramrn und der im Aufzeiclinungsmedium gespei- 
cherten Ersatzinformalion. In diescm Beispiel unifaBi der 
Kompatibiiitarsintbrmaiionssaiz wenigstens einen ECM- 
Idcntilikationscode A. Das System zum Neuprogrammiercn 
vergleicht den ECM-Identifikationscode B mil dem Kompa- 
tibililalsinformationssaLz und verhinden die Neuprogram- 
mierungsopcraiion. wenn die Kompalibililal nicht bestatigi 
wird. 

Fig. 3 stelll cine Sequcnz von Koinmunikationsopcralio- 
nen zum Austauschen von Signalen zwischen der Sieuerein- 
heit 1 und der externen Einrichtung 2 dar. 

Die in Fig. 3 gczciglc Kommunikationsscqucnz umfaBt 
eine erste und eine zweitc Phase (eine erste und eine zweile 
Slufe). Die erste Phase dicnt der Sichcrheitskonununikation. 
Die zweile Phase dient dazu, die Neuprogrammicrung 
durchzufuhren, Die erste Phase geht der zwciten Phase vor- 
aus. Die zweite Phase folgi. nachdem die Sperrung durch die 
Sichcrheitskornmunikalion aufgehoben wurde. 
25 In der ersten Phase tauschen die externc Einrichtung 2 
und die Sieuereinheit 1 verschlussclte Signale aus, utu das 
Programm und die Daten im Sleuerspeicher If und in den 
anderen Speichereinrich lunge n gegen eine nicht autorisierle 
oder falschc Anderung oder gegen einen unsachgcmaBcn 
30 EingrilT durch andere Personen als die Fahrzeughersteller 
oder -handler zu schutzen. In diesem Beispiel sendet die ex- 
ternc Einrichtung 1 ein Sicherheitsfrcigabe-Anfordcrungssi- 
glial zu der Stcuereinhcit (ECM) 1. Die Sieuereinheit 1 priifi 
das Frcigabe-Anforderungssignal und sendet ein Freigabe- 
Erlaubnissignal zu der externen Einrichtung 2. wenn das 
Frcigabe-Anforderungssignal ein korrcktes Anforderungssi- 
gnal ist. Dann schlieGt die Sicherhciiskomjiiunikation ab, 
wobci die Sieuereinheit 1 in einen freigegebenen Zustand 
vcrsetzl wird, in dem die Sichcrheitssperrung aufgehoben 
40 isu umdas Neuprogrammiercn zu eriauben. 

Wenn die exierne Einrichtung 2 keine autorisierle Kor- 
rekturcinrichtung ist, dann kann die externc Einrichtung 2 
die Sicherheitskommunikation nicht richtig abschlieBcn und 
blcibt die Steuercinheil 1 im Sicherheitssperrzustand, um 
die Ncuprogrammierung zu verhindern. 

Nach dem AbschlieBcn der Sicherheitskortimunikation in 
der ersten Phase, sendet die exierne Einrichtung 2 ein Steu- 
erspeicher-Neuprogrammierungssignal an die Steuercinheil 
1, das eine Neuprogrammicrungsopcration zum Neuschrci- 
ben des Steuerspeichers If anforderi. In Antwort 3uf das 
Neuprogrammicrungs-Anfordeningssignal aus der externen 
Einrichtung 2 ftihrt die Sieuereinheit 1 wie in Fig. 4 gezeigt 
eine Anforderungs-Behandlungsopcration und cine Neupro- 
grammicrungsopcration durch. In diesem Beispiel wird die 
Routine von Fig. 4 mit regelniaBigen Intervallen von 10 ms 
durchgefuhrt. 

In dem in Fig. 4 gczeiglcn Schritt SI prufi die Steuerein- 
hcit F (oder die CPU der Sieuereinheit 1), ob ein S'teuerspei- 
cher-Neuprograntmierungs-Anforderungssignal empfangen 
wurde oder nichi. Wenn kein Anforderungssignal eingegc- 
ben wurde, schlieBt die Sieuereinheit 1 die Routine von Fig. 
4ab. 

Wenn cin Neuprograntmierungs-Anforderungssignal 
empfangen wurde. schreitci die Steuercinheil 1 von Schritt 
SI zu Schritt S2 wcitcr. 

In Schritt S2 vergleicht die Steuercinheil 1 den im Spei- 
cherbereich (ROM) der Steuercinheil 1 gespeicherten Iden- 
tifikationscode B mit der Kompaiibilitatsinfomiation auf der 
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Daienkanc 3. die in die Einrichtung 2 ge laden isi.. In dieseni 
Bcispicl ist dcr Konipaiibiliiatsinforniaiionssatz in der Form 
einer Listc von ECM-Identifikationscodcs vonjcschen. Die 
Tjkic wird in der Datenkarle 3 als Tcil der Erganzungsdarcn 
(odcr Vcrwattungsdaten) gespcichen. Es isi moglich, eincn 
Summenwerl odcreine Vcrilizicrungszahl als Idcnlifikalion- 
scodc zu verwenden. (Der Summenwerl cntsprichi den vier 
nicdrigercn Bytes eincr Summe. die aus dcr Addilion aller 
Daicnclcmente in alien Program men result ien. Der Sum- 
menwert wird in Ubcrcinstiiumung mil eincm vorbestimnv 
ien Bercchnungsverfahrcn wall rend dcr Schreibopcraiion in 
den Sieuerspeicher voir. Herstcllcr von Motorsicucrmodu- 
len besiimntl. Der auf dicse Weise bercchnctc Summcnwen 
wird in eincn vorbcslinmiten Bcreich des Spcichcrbereichs 
(ROM) jedes Steucrnioduls geschrieben und fur die Beslati- 
gung der Licferung verwendet.) Der Idcntifikationscode 
wird zuru Beispiei beim Piers teller der EC Ms und Daienkar- 
ten in cincm vorhcstimnHcn Bcreich des ROM-Bcrcichs dcr 
Si cue re in heir (ECM) 1 gespei chert. 

Dcr Konipatibilitatsinformalionssatz wird in einetu Be- 
reich dcr Erganzungsdaien in dcr Datenkarle 3 gespcichen. 
In dicsem praktischen Beispiei isi der Kompatibilitatsinfor- 
mationssalz eine Listc von ECM-Idcntifikationscodcs, die 
ECMs mil darin enthallener Sleucrin formation angeben, zu 
der die auf dicscn Dalenkarten gespeieherte Ersal/.in forma- 
tion kompatibel ist. Der Inhall der Dalcnkarte 3 urnfaBt die 
Ersalzin formation und die Erganzungsdaien. In diesem Bei- 
spiei umfassen die Erganzungsdaien die Listc der Idenlifika- 
lionscodes der koinpatiblen ECMs. 

Wenn der Identifikalionscode der Sieuereinhcil (ECM) 1 
mil eincm der Identifikationscodes ubereinslimmt, die in der 
Lisle in der Datenkartc 3 aufgelislet sind, wenn aJso die 
Koiiipalibilitat z.wischen den Daten ini Sieuerspeicher If 
und den Ersatzdaten in der Dalcnkarte 3 bestatigl wird, dann 
schreitet die Steuereinheit 1 von Schritt S2 zu Schriu S3 
fort. In Schrilt S3 sendet die Steuereinheit ein Neuprogram- 
mierungs-Erlaubnissignal zu dcr externen Einrichlung 2. 

Wenn der Idenlifikationscode der Sieuereinhcil (ECM) 1 
mil keinem der Idcnlifikalionscodes iibereinsiimmL die in 
der Lisie in dcr Datenkarle 3 aufgelislet sind, wenn also die 40 
Kompatibililat zwischen den Daten ini Sieuerspeicher If 
unci den Ersatzdaten in dcr Dalcnkarte 3 nichl bestatigl wird, 
dann schreitet die Steuereinheit 1 von Schriu S2 zu Schritr 
S4 fort. In Schritt S4 sendet die Steuereinheit ein Neupro- 
grarnmierungs- Verhinderungssignal zu dcr extcmen Ein- 45 
richtung 2. Nach Schritt S4 schreitel die Sieuereinhcil zu 
Schritt S5 fort, wie weiter unten erlautcrt wird. 

Die externe Einrichlung 2 fuhrt die Neuprogrammie- 
rungsoperationen wie in Fig. 5 gezeigt durch. Die Routine 
von Fig. 5 wird mil regclmaBigcn Intcrvallen von 10 ins 
durchgefuhrt. 

In Schritt Sll und SI 2 prufi die externe Einrichlung 2 
(oder die CPU der externen Einrichlung 2) den Ernpfang des 
Steuerspeicher-Neuprogrammierungs-Erlaubnissignals und 
des Stcuerspeicher-Neuprogrammierungs-Verhinderungssi- 
gnals von dcr Steuereinheit 1. Die externe Einrichlung 
schreitet nur dann z.u Schritt S13 fort, wenn das Erlaubnissi- 
gnal empfangen wird und wenn das Verhinderungssignal 
nichl empfangen wird. In Schritt SI 3 scndei die externe Ein- 
richlung 2 die Ersatzdaten fur die Neuprogrammierung zu 
der Steuereinheit 1. Die Sieuereinhcil I enipfangt die Er- 
satzdaten von der Einrichlung 2 und sehreibi den Sieuer- 
speicher If neu mil den Ersaizdaten. Durch diese Neu- 
schreiboperaiion wird das Stcuerprogramm wie etwa das 
Lccrlaufdrchzahl-Sicucrprogranmi korrigicrt, wobci in dic- 
sem Beispiei das gesarnte korrigierte Sieuerprogramm ini 
Sieuerspeicher der Sieuereinhcil 1 gespcichen ist. 

Nach dem AbschluB der Ncuprogranunierungsoperaiion 



to 



15 



20 



30 



35 



so 



60 



65 



wird die Sieuereinheii 1 vom Freigabezustand in den Spcrr- 
zusiand vcrselzt, wobei die Sieuereinhcil 1 ein Neuprogram- 
micrungs-Endsignal an die externe Einrichlung sendet, das 
den AbschluB der Neuprogrammicrung.soperation angibl. 
Die exlernc Einrichlung 2 bestatigl den AbschluB der Neu- 
programnuerungsopcrution durch den Ernpfang des Neu- 
programmicrungs-Endsignals, und die Kom muni kal ion ssc- 
quenz ist bcendel. 

Wenn das Erlaubnissignal nichl empfangen wird. schrei- 
tet die externe Einrichlung von Schriu Sll zu den Schritt en 
S14 und S15 fort, wie weilcr unten erlautert wird. 

Auf dicsc Weise vcrgleichl das System den Idcntifikation- 
scode mil der Idcntifikationscode listc. wenn das Neupro- 
granmiierungs-Antbrderungssignal von der externen Ein- 
richtung 2 nach dem AbschluB der Sicherheitskommunika- 
lion empfangen wird. Das System kann deshaih das Steucr- 
programm vor einer falschen Neuprogrammierung mil fal- 
se hen Ersatzdaten schutzen, indem cs die angefordcrlc Neu- 
programmierung verhindert, wenn die Kompatibililat nicht 
bestatigl wird. 

Der Schritt 5 von Fig. 4 und die Schrilte S 1 4 und S 15 die- 
nen dazu, cine Fehlbcurteiiung zu vcrhindern, indent sic 
eine Serviceperson bcziiglich dcr nicht abgcschlossenen 
Neuprogrammierung benachrichtigen, wenn die Neupro- 
grammierung verhindert wird. 

Wenn die Kompatibililat in Schriu S2 von Fig. 4 vemcint 
wird, sendet die Steuereinheit 1 das Ergebnis der Vergleichs- 
operation in Schritt S5 zu der externen Einrichlung 2 zusaiz- 
Lich zu dem Neuprogramtnierungs- Verhinderungssignal von 
Schriu S4. Die externe Einrichlung 2 enipfangt in Schritt 
S14 von Fig. 5 das Neuprogrammicrungs- Verhinderungssi- 
gnal und das negative Vergleichsergebnis, das angibL daB 
der Idcntifikationscode der neu zu programmierenden Steu- 
ereinheit 1 nicht in der Lisle der koinpatiblen ECMs aufge- 
listct ist, die in dcr Datenkarle gespeichert ist, wobei die ex- 
terne Einrichtung 2 dann von Schritt S 14 zu Schritt S 15 fort- 
schreilel. In Schritt S15 zcigt die exleme Einrichtung 2 das 
negative Vergleichsergebnis auf einer Anzeigeeinrichtung 
der externen Einrichlung 2 an. 

Die Serviceperson wird also uberdic falsche Auswahi ei- 
ner Dalcnkarte bzw. das Laden einer falschen Datenkarle 
mil inkompatiblen Daten benachrichtigt und kann eine Neu- 
prograinmiertingsoperation mil der korrekien Datenkartc 
versuchen. 

Fig. 6 zeigi ein Steuerspcicher-Neuprograiiunierungsver- 
fahren in (Jbereinstiminung mil der Ausfiihrungsform der 
vorliegenden Erfindung. 

Das in Fig. 6 gezeigie Verfahren umfaBt die Schritte S51 
bis S56. 

Im ersten Schriu S51 wird das Aufzeichnungsmediurn 3, 
eiwa eine Dalcnkarte, in die externe Einrichlung 2 einge- 
steckl und die externe Einrichtung 2 mit der Steuereinheit 1 
verbunden. In Schritt S51 wird die Komrnunikation zwi- 
schen der Steuereinheit 1 und der externen Einrichtung 2 ge- 
startet. 

Im zweiten Schritt S52 wird die Kompaubiliiatsinforma- 
tion gclcscn oder erkannt, die in dem Beispiei von Ftg, 6 ein 
Idenlifikationscode A ist. 

Im dritten Schritt S53 wird ein Idenlifikationscode B der 
Steuereinheit 1 geiesen oder erkannl. 

Im vierten Schritt S54 wird dcr in Schritt S53 erhaltene 
Idenlifikationscode B der Steuereinheit 1 mit dem in Schritt 
S52 erhaltenden Idcntifikationscode A der Datenkarle 3 ver- 
glichcn. 

Dcr funflc Schritt S55 wird nur crrcicht. wenn der Identi- 
fikalionscode B gleich dem Idenlifikationscode A ist. Die 
Neuprogrammierung wird in Schritt S55 durchgefuhrt. 

Der sechste Schritt S56 wird errcicht wenn der Identifika- 
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tionscodc B nichi. glcich dcru Ideniifikaiionscodc A ist. Die 
Neuprog ram mic rung wird vcrhindcrt, und das Ergcbnis von 
Schrilt S54 wird auf cincin Anzeigcbildschirm dcr exiernen 
Einrichiung 2 in Schritl S5rt angczcigt. 

In einem modifizierten Beispiel in Ubereinsiimmung mil 5 
dcr vorliogcnden Erfindung vverden die Schriltc S52 bis S56 
in der exiernen Einrichiung 2 durchgefiihrl. In dicscm Fall 
vergleichl die CPU der exiernen Einrichtung 2 den Idcntili- 
kaiionscodc dcr Stcuercinhcii 1 mil dcr Kompaiibilitatsin- 
forrnalion. "> 
* Die Sieuereinheit 1 und die exteme Einrichiung 2 von 
Fig. I konnen wie in Fig. 7 gczcigle Bereiche umfasscn. 

In clem Beispiel von Fig. 7 urufaQl die Sieuereinheit 1 ci- 
ne n Sieucrbercieh la, einen Spcicherbereich lb und einen 
Kommunikationschaitungsbereich lc fur die Kommunika- 15 
tion mil der exiernen Einrichtung 2. Der Spcicherbereich 
umfaBi einen ROM lc und einen Sieuerspeicher If. Der 
Sieuerspeicher If kann cin clcktrisch loschbarcr und uhcr- 
schreibbarer nichl-fluchliger ROM sein. In dem dargcsiell- 
len Beispiel ist der Sieuerspeicher If cin Flash-ROM. Der 20 
Sieuerspeicher If spei chert wenigstens einen Teil cines 
Steuerprogramms, wie eiwa eins Moiorsieuerprograrnms. 
Die exierne Einrichtung 2 utnfaBt einen Steuerbereich 2a, 
einen Laufwerkbereich 2b zum Lesen von Dalcn voni Auf- 
zeichnungsmedium 3, etwa von einer Speicherkarie, die in 25 
die Einrichtung 2 geladen wird, einen Kommunikationsbe- 
reich lc fur die Kommunikation mil der Sieuereinheit 1, so- 
wic einen Wambereich oder eine Warneinrichtung 2d zum 
Erzeugen eincs wahmehmbaren Warnsignals. Die Warnein- 
richtung 2d kann eine Anzeigceinrichtung zum Anzeigen :w 
des negativen Vergleichsergebnisses auf einem Anzeige- 
bildschinn sein. In dem dargestcllien Beispiel umfaRt der 
Steuerbereich la die CPU der Sieuereinheit 1, und umfaBi 
der Steuerbereich 2a die CPU der Einrichtung 2. 

Die vorliegendc Patenlanmeldung basicrl auf der japani- :*5 
schen Paicntanmcldung 9-305531. Der gesamte Inhalt der 
japanischen Patentanmcldung 9-305531 mit Anmeldctag 
vom 7. November 1997 ist deshalb hier unlcr Bezugnahmc 
cingeschlosscn. 

40 

Paten tan sprue he 

1. System zum Neuprogrammicren cines Steucrspci- 
chers fur cin Fahrzeug mit: 

einer Stcucreinheil (1) mil einem Spcicherbereich zum 45 
Speichern dcr Fahrzcugsteucrdatcn und eines Idcntifi- 
kationseodes (B), wobci der Speicherbereich einen 
elektxisch loschbaren und ncuprogrammierbaren Stcu- 
erspcicher (If) umfaBt. 

einem Aufzeichnungsmedium (3) zum Speichern von so 
aufgezeichneten Daien und von Kompatibilitatsinfor- 
mation, und 

einer exiernen Einrichiung (2) zum Andem des Inhalts 
des Sieucrspeichers (If) in Ubereinsiimmung mil den 
auf dem Aufzeichnungsmedium (3; aufgezeichneten 55 
Daien. 

wobei das Neuprogrammicrungssysicm weiterhin cine 
Vergleichseinrichtung zum Vergleichen des Identifika- 
tionscodes (B) mil der Kompatibilitatsinformation utn- 
faBt, urn zu bestimmcn. ob die auf deni Aufzeichnungs- 60 
medium (3) aufgezeichneten Daien mil den Steuerda- 
ten in dcr Sieuereinheit (1) kompatibel sind, und urn 
eine Anderung des Inhalis des Sieuerspeichers (If) in 
Ubereinsiinimung mil den aufgezeichneten Daien zu 
verhindem. wenn die aufgczeichncicn Datcn nichi mil 65 
der tcrdaten kompatibel sind. 

2. vci./ni zum Neuprogrammicren cines Sieuerspei- 
cher:* ;;ach Anspruch 1. dadurch gekennzcichnet, daB 



133 A 1 

8 

die exicmc Einrichtung (2) cine Wamcinrichiung (2d) 
umfaGt. die cin wahmchmbares Wamsignal crzeugt, 
wenn die Anderung des Inhalis des Sieucrspeichers 
(If) verhinden wird, 

3. System zum Neuprogrammieren eines Sieucrspei- 
chers nach Anspruch 2, dadurch gekennzcichnet. daB 
die Warneinrichtung (2d) dcr exiernen Einrichtung (2) 
eine Anzeigceinrichtung ist. die das Vergleichsergcbnis 
anzcigt. wenn das Ergebnis angiht. da6 die aufgezeich- 
neten Datcn nicht mil den Stcucrdaicn kompatibel sind. 

4. System zum Neuprogrammicren cines Sieuerspei- 
chers nach wenigstens einem der vorstehenden An- 
spriiche, dadurch gekennzcichnet. daB der Idcntifikati- 
onscode (B) ein Dalene lenient zum Untcrscheiden dcr 
Stcuereinheil (1) von einer andcren Sieuereinheit ist. 

5. System zum Neuprogrammieren eines Sieucrspei- 
chers nach wenigstens einem der vorstehenden An- 
spruchc, dadurch gekennzcichnet. daB die Kompatibili- 
tiii sin formation eineListe von Identifikationscodes (A) 
umfaBt, die Steuereinheiten angeben. die mit den aut- 
gezeichneten Datcn auf dem Aufzeichnungsmedium 
(3) kompatibel sind. 

6. System zum Neuprogrammieren eines Steuerspci- 
chers nach wenigslens einem der vorstehenden An- 
spruche. dadurch gckennzeichnel, daB die Vergleichs- 
einrichtung ein Erlaubnissignal crzeugt, wenn dcr 
Idcnlifikationscode (B) in der mil der externen Einrich- 
tung (2) vcrbundencn Sieuereinheit (1) mil einem dcr 
Identifikationscodes (A) in der Lisle des Aufzeich- 
nungsmediums (3) ubereinstimmt, und ein Verhinde- 
rungssignal erzeugt, wenn der Identifikationscode (B) 
in der mil dcr externen Einrichtung (2) verbundenen 
Sieuereinheit (1) mit keinem der Identifikationscodes 
(A) in der Lisle des Aufzeichnungsmediums (3) uber- 
einstimmt, wobei die externc Einrichtung (2) in Ant- 
wort auf das Erlaubnissignal die aufgezeichneten Da- 
tcn zu der mil der externen Einrichiung (2) verbunde- 
nen Sieuereinheit (1) gibt und in Antwort auf das Ver- 
hinderungssignal ein Vergieichscrgebnis anzcigt. 

7. System zum Neuprogrammieren eines Sieuerspei- 
chers nach wenigstens einem der vorstehenden An- 
spriiche, dadurch gekennzeichnet, daB die Sieuerein- 
heit (1) und die exierne Einrichiung (2) jeweils einen 
Stcuerbereich (la, 2a) urufassen und daB die Ver- 
gleichseinrichtung den Steuerbereich (la) der Sieuer- 
einheit (1) oder den Steuerbereich (2a) der externen 
Einrichiung (2) umfaBt. 

8. System zum Neuprogrammieren cines Sieuerspei- 
chers mit: 

einem Speicherbereich (lb) zum Speichern von Steuer- 
information und von einem Einhciien-Ideniifikaiion- 
scode (B). wobei der Spcicherbereich (lb) einen elek- 
trisch loschbaren und ncuprogramierbaren Steuerspei- 
chcr (1Q umfaBt, und 

einem Steuerbereich (la) zum Neuschreiben der Steu- 
erinformaiion durch das Andern des Inhalts des Steuer- 
spcichcrs (11) in Ubereinstimmung mil neuer Informa- 
tion von einem Aufzeichnungsmedium (3), wenn ein 
Erlaubnissignal vorliegi. zum Vergleichen des Einhei- 
len-Identifikationscodes (B) mit auf dem Aufzeich- 
nungsmedium (3) gespeichcrter Koinpatibilitatsinfor- 
niation, urn die Kompaiibilitat zwischen der Steuerin- 
formation und der neuen Information zu prufen. zum 
Erzeugen des Erlaubnissignals, um eine Neuschrcib- 
opcration dcr Stcucrin format ion mit dcr ncucn Infor- 
mation zu erlauben. wenn die Kompaiibilitat bestatigt 
wird. und zum Erzeugen eines Verhinderungssignals. 
um die Neuschreiboperation der Stcucrin format ion mit 
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dcr neuen Information zu vcrhindern, wenn die Kom- 
patibililal verneini wird. 

9. System zum Neuprogrammicrcn eines Stcuerspci- 
chers nach Anspruch t S. dadurch gekennzeichnet. daR 
das S y s t c ni zu iu Neu prog ram m i ere n e i nc S icu c rc i nhe i i 5 
(1 ) unifaBl. die den Spcichcrbcreich (lb) und den Sicu- 
erbereich (la) zum Andern der im Stcuerspeichcr (If) 
gespei chert en Steuerin format ion in Ubereinstimmung 
mil dcr neuen Information aus einer externen Einrich- 
tung (2) mil dem darin geladenen Aufzcichnungsmc- to 
dium (3) umfafiu wobei die Kompaiibtlilatsinformaiion 
eine Lisle von Infonnationscodcs (A) is*, wobei der 
Steuerbcreich (la) cin Neuschrcib-Anforderungssignal 
aus der externen Einrichtung (2) empfangt, das die 
Neuschreiboperation des Steucrprogramms anfordert, 15 
den Vergleich des Einheilen-Ideniifikationscodes (b) 
mit. der Kompatibilitausinformation in Antwort auf das 
Anfordcrungssignal durchfuhrt. das Erlaubnissignal er- 
zeugt. wenn der Einhciten-Identifikationscode (B) mit 
eineni liiement (A) in dcr Lisle iibcreinstimmt. und das 2t) 
Verhinderungs signal crzeugt, wenn die Liste kein mit 
dctti Einheitcn-Identifikationscode (B) iibereinslim- 
mendes Element (A) cnthalt. 

10. System zum Ncuprogrammicren eines Steuerspei- 
chers nach Anspruch 8 oder 9. dadurch gekennzeich- 25 
net. daB der Steuerbcreich (la) das negative Ver- 
gleichsergebnis zu der externen Einrichtung (2) scndel .. 
wenn die Liste kein mit dem Einhciten-Identifikation- 
scode (B) ubcreinstimmendes Element (A) enthait. 

11. System zum Neuprogrammicren eines Stcuerspei- Mi 
chers nach wenigstens eincm der Anspriiche 8 bis 10, 
dadurch gekennzeichnet, daB das Neuprogrammie- 
ruugssystcm wciterhin die externe Einrichtung (2) zum 
Enipfangen des Erlaubnissignals odcr des Verhindc- 
rungssignals, zum Geben der neuen Information an die .!> 
Steuereinheit (1) in Antwort auf das Erlaubnissignal 
und zum Erzcugen eines wahrnehmbaren Warnsignals 

in Antwort auf das Vcrhinde rungs signal umfaBt. 

12. System zum Neuprogrammicrcn eines Stcuerspci- 
chers nach wenigstens eineni der Anspriiche 8 bis 11, 40 
dadurch gekennzeichnet, datt die cxtcrnc Einrichtung 
(2) eincn Steuerbcreich (2a) umfaBt. der die auf dem 
Aufzeichnungsmedium (3) gespcichcrtc neue Infonna- 
tion liest, wenn das Aufzeichnungsmedium (3) in die 
externc Einrichtung (2) geladen wird. und der bei Emp- 45 
fang des Erlaubnissignals die neue Information an die 
Steuereinheit (1 ) gibt. 

13. System zum Neuprogramniieren eines Steuerspci- 
chers nach wenigstens eincm der Anspriiche 8 bis 12, 
dadurch gekennzeichnci, daB die cxterne Einrichtung 50 
(2) eine Warneinrichiung (2d) umfaBt. um das wahr- 
nehinbare Wamsignal in Antwort auf das Vcrhinde- 
rungssignal zu erzeugen. 

14. Vcrfahrcn zum Neuprogramniieren eines Stcuer- 
speichers. um Steuerin formation, die in eineni eiek- 55 
[risen k>schbaren und neuprogramrnierbaren Stcuer- 
speicher eines Spcicherbereichs ciner Steuereinheit ge- 
speichcrt ist, in Ubereinstimmung mil neuer Informa- 
lion aus einer externen Einrichtung neu zu schreiben. 
wobei das Verfahren tbleende Schritte umfaBt: 60 
einen Vergleichsschrin zum Vergleichen eines im Spei- 
cherbereich gespeicherten Einheitcn-Ideniifikationsco- 
des mil in dcr externen Einrichtung gespeichcrtcr 
Kompaiibilitaisinibrmaiion, um die Kompaiibilhat 
zwischen dcr Stcucrinfonnation und dcr ncucn In for- 65 
mation zu priifen, zum Erzeugen eines Erlaubnissi- 
gnals. das eine Neuschreiboperation der Steuerinfor- 
mation mit der neuen Information erlaubt. wenn die 
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Kompatibilitat bestatigi wird. und zum Erzeugen eines 
Verhindcrungssienals. das die Neuschreiboperation der 
Steuerin formation mil dcr neuen Information vcrhin- 
rierl. wenn die Kornpatibilitat vcrneint wird. und 
cincn Reaktionsschrill zum Neuschrcibcn der Slcucrin- 
forniation durch das Andern des Inhalts des Steucrspci- 
chers in Ubereinstimmung mit der neuen Information 
aus der externen Einrichtung. wenn das Erlaubnissi- 
gnal vorliegt. und zum Verhindem der Neuschreibope- 
ration. wenn das Verhindcrungssignal vorlicgr. 

15. Verfahren zum Neuprogrammicren eines Steucr- 
speichers nach Anspruch 14. dadurch gekennzeichnet. 
daB das Verfahren weiterhin einen Vcrbindungsschrirt 
umfaBt zum Verbinden der Steuereinheit mit dcr exter- 
nen Einrichtung, in die cin Aufzeichnungsmedium ge- 
laden ist. auf dem die ncuc Information und die Kom- 
pai.ibilitatsinforniat.ion gespcichert sind, und zum Sen- 
den cincs Ncuschrcib-Anfordcrungssignals von dcr ex- 
ternen Einrichtung an die Steuereinheit. das die Neu- 
schreiboperation der Steuerinforntation mit der neuen 
Information anfordert, wobei der Vergieichsschritr in 
Antwort auf das Neuschrcib-Anforderungssignal 
durchgefuhrt wird. 

1 6. Verfahren zum Neuprogramniieren des Steuerspei- 
chers nach Anspruch 14 oder 15. wobei der Reaklions- 
schritt eincn Neuschrcibschritt umfaBt zum Neuschrei- 
ben der Steuerin form at ion durch das Andern des In- 
halts des Steuerspeichers in Ubereinstimmung mil der 
neuen Information aus der externen Einrichtung, wenn 
das Erlaubnissignal vorliegt. sowie einen Vcrhinde- 
rungsschrilt zum Vcrhindern der Neuschreiboperation 
und zum Veranlassen, daB die externe Einrichtung das 
Vergleichsergebnis anzeigU wenn das Vbrhinderungssi- 
gnal vorliegt. 
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